生成AI利用と内部統制｜管理部門が整備すべき3つの統制点
77509664・生成AI利用プロセスが内部統制の評価対象になる理由を解説
・管理部門が整備すべき統制点は3つ：プロセス記録・レビュー統制・監査証跡
・J-SOX対象企業はAI利用が業務プロセスに組み込まれる前から準備が必要
・統制の整備は診断シートで現状確認してから優先順位をつけて進める
はじめに
「うちの会社でもChatGPTやClaudeを使っているが、内部統制上どう扱うべきか分からない」――こうした声は管理部門・内部監査部門でよく聞かれる。
生成AI利用は、業務プロセスへの組み込み方によってはJ-SOXの評価スコープに影響する。また、AIの出力をレビューなしに業務処理に使えば、統制上の重大な空白になりかねない。本記事では、内部統制・J-SOXの実務視点から、管理部門が整備すべき3つの統制点を解説する。
目次
1. なぜAI利用が内部統制の問題になるのか
内部統制の目的は、財務報告の信頼性・業務の有効性・法令遵守・資産の保全の4つだ。生成AIは、この4つすべてに影響しうる。
財務報告の信頼性への影響例：
- 決算資料の草稿をAIで作成し、数値の確認が不十分なまま確定
- 仕訳勘定科目のAI提案をレビューなしに採用
- 開示書類の文章をAI生成のまま公開
業務有効性への影響例：
- AI出力の精度が不安定なため業務品質がばらつく
- AIへの依存が高まり担当者の判断力が低下
法令遵守への影響例：
- 入力した顧客情報が外部サービスに送信され個人情報保護法違反
- 著作権のある文書を無断でAI学習に提供
資産保全への影響例：
- 機密情報・知的財産の漏洩
2. 整備すべき3つの統制点
統制点①：業務プロセスへのAI利用の記録
AI利用が組み込まれた業務プロセスは、文書化（業務フロー・業務記述書・RCM等）に反映する必要がある。
なぜ必要か：
内部統制評価では「文書化されていない統制は存在しない」というのが基本的な考え方だ。AI利用が実態として行われているのに業務フローに記載がなければ、内部統制評価の対象外になる＝統制の空白が生まれる。
実務上のアクション：
- 既存の業務フロー・業務記述書を見直し、AI利用箇所を追記
- AI利用の目的・使用ツール・入力情報の種類・出力の使い方を明記
- 四半期ごとに更新する仕組みを設ける
統制点②：AI出力に対するレビュー統制
AIの出力は必ず人間がレビュー・承認する統制が必要だ。これは、ハルシネーション（誤情報の生成）や不適切な内容の業務への組み込みを防ぐためのキーコントロールになる。
整備すべき統制の例：
- AI生成の仕訳・数値には承認者のサインが必要
- AI生成の開示文章は法務・経営者のレビュー後に公開
- AI利用で作成した資料は「AI補助作成」の表示を義務化
J-SOXの文脈では：
IT全般統制・IT業務処理統制との整合性を確認する。AIツールをITシステムの一部と位置づけた場合、そのアクセス管理・変更管理・運用管理も評価対象になりうる。
統制点③：監査証跡の整備
内部監査・監査法人の調査・インシデント調査の際に、「何を・いつ・誰が・どのAIで・どのように使ったか」を追跡できる証跡が必要だ。
整備すべき証跡の種類：
- AI利用申請・承認記録
- 利用ログ（ツール・日時・利用者・業務目的）
- AI出力のレビュー・承認記録
- インシデント報告書（禁止情報入力等が発生した場合）
証跡がない状態で監査法人から指摘を受けると、内部統制の重要な欠陥として認定されるリスクがある。
3. J-SOXへの影響と対応
J-SOX（金融商品取引法に基づく内部統制報告制度）の対象企業にとって、AI利用が業務プロセスに組み込まれた場合の評価範囲の見直しは重要な課題だ。
J-SOX上の主な論点：
| 論点 | 内容 |
|---|---|
| 評価範囲の拡大 | AI利用プロセスが財務報告に影響する場合、評価スコープに含める必要がある |
| IT全般統制 | AIサービスのアクセス管理・変更管理は既存のITGCとの整合を確認 |
| 業務処理統制 | AI出力のレビュー・承認が実効的に機能しているかを評価 |
| 文書化要件 | AI利用が組み込まれた業務フロー・RCMの更新 |
IPO準備企業への影響：
N-2期（上場申請2年前）以前にAIガバナンスと内部統制整備を同時に進めることで、審査時の対応がスムーズになる。AI利用規程の有無・内部統制整備の状況は、審査での確認事項に含まれている。
4. 業種・業務別の具体例
経理・決算業務：
- 月次決算レポートの草稿作成にAIを使う場合→CFO・経理部長のレビューと承認を統制に組み込む
- 仕訳自動起票にAIを活用する場合→IT業務処理統制として評価対象に含める
契約・法務業務：
- 契約書のリスクチェックにAIを使う場合→法務担当者の最終確認を必須化
営業・顧客対応：
- 顧客への提案書作成にAIを使う場合→顧客情報の入力禁止ルールとレビュー統制の整備
5. 統制整備の進め方
ステップ1：現状診断
AI利用の実態把握と、内部統制上の空白の特定。診断シートを使って5領域25項目を確認する。
ステップ2：優先整備
財務報告リスクが高い業務から順に、統制点①〜③を整備する。
ステップ3：文書化
業務フロー・RCM・統制活動の記述を更新する。
ステップ4：テスト・評価
整備した統制が実際に機能しているかをテストする。
ステップ5：継続的改善
技術変化・新ツール導入に合わせて定期的に見直す。
AIガバナンス簡易診断シート
内部統制・J-SOXの観点を含む5領域25項目の診断シート。管理部門・内部監査が統制整備の優先順位を決める基礎資料として活用できます。
価格：9,800円（税込）
よくある質問（FAQ）
Q1. 小規模な上場企業でも同じ対応が必要ですか？
A. J-SOX対象企業は規模にかかわらず対応が必要です。AI利用の範囲・業務への組み込み方によってリスク評価が変わるため、まず現状を把握することが先決です。
Q2. 監査法人とAI利用について事前に相談すべきですか？
A. 相談することを強く推奨します。特にAI利用が財務報告プロセスに組み込まれている場合は、評価範囲の確認・統制整備の方向性について監査法人の意見を早期に確認するのが適切です。
Q3. AIツールベンダーのセキュリティ認証（ISO27001等）は内部統制に影響しますか？
A. 参考情報として有用ですが、社内の統制整備の代替にはなりません。ベンダーの認証確認と並行して、自社内の統制（利用申請・レビュー・証跡）を整備する必要があります。
関連記事
- AIガバナンス診断の方法｜5領域25項目
- J-SOXとAIリスク｜内部統制評価の実務
- 内部監査部門のAIリスク対応
- 経理業務でのAIリスクと対応
Follow me!
